Bakit hindi mapipigil ng patakaran ng VPN ang pag-upload ng isang file

Ang isang maliit na koponan ay humihingi ng malayong pag-access sa mga sistema ng trabaho nito at, sa parehong hininga, humihingi na ang ilang attachment ay tumigil sa pag-alis sa kumpanya. Ang dalawang kahilingan ay parang isang pagbabago sa VPN. Dalawang kinakailangan ang mga ito na may magkaibang punto ng pagpapatupad, at ang patakarang tumutugon sa una ay walang ginagawa para sa pangalawa. Magsimula sa pagpangalan ng aksyon at ng datos, pagkatapos ay piliin ang bahaging talagang nakakakita sa mga ito.

Isang kahilingan, dalawang kinakailangan

Ang unang kinakailangan ay tungkol sa maabot: aling mga user at device ang maaaring magbukas ng koneksyon sa aling serbisyo. Ang pangalawa ay tungkol sa pag-uugali pagkatapos umiral ang koneksyong iyon: aling mga dokumento ang maaaring ilakip, i-paste o i-upload. Ang isang tunel ay gumagana sa una at sa disenyo ay bulag sa pangalawa.

Ang kontrol sa antas ng IP ay nagpapasa ng mga packet. Hindi nito sinusuri ang multi-part na pag-upload, hindi iniinspeksyon ang PDF at hindi nagpapasya kung may mga numero ng account sa isang spreadsheet. Ang asahan iyon mula rito ay hindi pagkakamali sa configuration; ito ay pagkakamali sa kategorya.

Sabihin ang kinakailangan nang malakas sa ganoong anyo bago maghanap ng produkto. «Maaaring maabot ng mga user ang portal ng file» at «hindi maaaring mag-upload ang mga user ng mga listahan ng customer sa portal ng file» ay magkaibang pangungusap, at ang pangalawa lamang ang naglalarawan ng patakaran sa nilalaman.

Piliin ang bahaging nakakakita ng file

Ang pagpapatupad ay dapat mangyari kung saan nababasa ang file. Para sa email, karaniwang ang plataporma ng email o ang gateway, na humahawak na sa mga attachment at maaaring magsuri sa mga ito bago ang paghahatid. Para sa pag-upload ng browser sa isang aprubadong serbisyo, ang aplikasyon mismo ang maaaring tanging partidong nakakakita ng nilalaman. Para sa isang pinamamahalaang laptop na kumokopya ng mga file sa naaalis na media, nakikita ng endpoint agent ang operasyon.

Ang ilang komersyal na pakete ng malayong pag-access ay pinagsasama ang endpoint agent, kontrol sa web at module ng pagpigil sa pagkawala ng data. Ang mga bahaging iyon ay maaaring magpatupad ng patakaran sa nilalaman, ngunit ang kakayahan ay pag-aari ng module at hindi ng pagtunel. Basahin kung ano talaga ang nilalaman ng pakete bago mangako ng resulta.

Ang isang kapaki-pakinabang na modelong paghahambing ay ang pangkalahatang-tanaw ng Purview sa pagpigil sa pagkawala ng data ng Microsoft: inilalarawan nito ang mga patakaran sa mga tuntunin ng mga uri ng sensitibong impormasyon, lokasyon at aktibidad. Ang bokabularyong iyon ay tungkol sa nilalaman at mga aksyon, hindi sa mga prefix ng IP.

Nakaliligtas ang TLS sa tunel, kaya planuhin iyon

Ang encryption ng aplikasyon ay pinag-uusapan ng kliyente at ng serbisyo, at ang tunel ng VPN ay nagdadala ng mga byte na iyon nang hindi binubuksan. Kaya ang gateway sa landas ay hindi awtomatikong nakakakuha ng kakayahang mag-uri ng attachment, gaano man kalaki ang bahagi ng ruta na hawak nito.

Upang siyasatin ang nilalaman habang dinadala, kailangan mo ng bahaging nagtatapos ng TLS gamit ang pinagkakatiwalaang sertipiko, at iyon ay isang malaking desisyon sa arkitektura na may sariling mga bunga sa privacy at operasyon. Hindi ito isang checkbox sa profile ng VPN. Kailangang magtiwala ng mga kliyente sa sertipiko ng inspeksyon, masisira ang mga aplikasyong nagpi-pin ng sertipiko, at nakakakuha ang operator ng kakayahang basahin ang trapikong dati ay hindi nito mabasa. Ito ang mga dahilan kung bakit ang desisyong ito ay pag-aari ng may-ari ng seguridad at hindi ng sinumang nagpapatakbo ng tunel.

Kaya ang tapat na sagot sa «mapipigil ba ng VPN ang pag-upload na ito» ay karaniwang hindi, na sinusundan ng konkretong alternatibo. Ang alternatibo ay maaaring mga paghihigpit sa antas ng aplikasyon, isang patakaran sa email o isang patakaran sa endpoint, at bawat isa ay may may-ari na makakapagbago nito.

Isulat ang pagsusuri ng pagtanggap bago ang patakaran

Ang patakaran sa nilalaman ay nangangailangan ng dalawang halimbawa, hindi isa: isang pinapayagang aksyon na dapat patuloy na gumana, at isang ipinagbabawal na aksyon na dapat ihinto. Subukan ang dalawa mula sa mga aplikasyon at device sa saklaw, dahil ang patakarang gumagana lamang sa isang browser ay hindi ang patakarang hiniling ng sinuman.

curl -sS -o /dev/null -w '%{http_code}\n' -F '[email protected]' https://files.plant.example/upload
curl -sS -o /dev/null -w '%{http_code}\n' -F '[email protected]' https://files.plant.example/upload

Ang unang kahilingan ay dapat tanggihan ng bahaging nagmamay-ari ng patakaran, at ang pangalawa ay dapat magtagumpay. Kung magtagumpay ang dalawa, wala ang kontrol sa landas. Kung mabigo ang dalawa, sinira mo ang serbisyo sa halip na pinrotektahan ito, na siyang mas karaniwang resulta ng patakarang isinulat nang walang pinapayagang halimbawa.

Magpasya nang maaga kung ano ang nakikita ng user, sino ang maaaring magbigay ng eksepsyon at saan kinukumpirma ng administrator ang desisyon pagkatapos. Ang na-block na pag-upload na walang mensahe ay gumagawa ng support ticket, at ang patakarang walang makakapag-audit ay gumagawa ng pagtatalo. Ang dalawa ay maiiwasan sa isang pangungusap ng dokumentasyon na isinulat bago magkabisa ang patakaran.

Sa huli, itago ang dalawang kinakailangan sa magkahiwalay na ticket na may magkahiwalay na may-ari. Ang pagsasama sa kanila sa ilalim ng «VPN» ay ginagarantiyahan na hihilingin sa koponan ng network na lutasin ang isang problema sa nilalaman, at na ang problema sa nilalaman ay ideklarang lutas kapag umangat ang tunel.